Ubuntu Server Fragen zur Sicherheit

[dapcfreek]

Hallo,
da ich mir einen Server für zuhause aufsetze, stellen sich mir aktuell zwei Fragen, die ich leier nciht beantworten kann, deswegen würde ich euch um Rat bitten:
Also, da ich ein paar sehr wichtige Daten habe, will ich manche Ordner automatisch auf zwei Festplatten sichern. Wie stelle ich das am besten an? (Ich mache Trotzdem noch hin und wieder Backups, aber wenn mir halt eine Platte abraucht will ich halt einen möglichst neuen Datenstand haben.)
Wie sieht es in sachen Virenschutz und Firewall aus? Habe jetzt ein paar mal gelesen, dass das bei Linux kein Problem ist. Könnt ihr das bestätigen?
Ach ja, habe zum Spaß noch einen PDC aufgestzt, da wir doch knapp 10 Leute an verschiednen Rechnern sind. Weiß nicht, ob das von der Sicherheit was ausmacht.

Hoffe,
ihr könnt mir helfen
dapcfreek

Edit:
Hat zwar jetzt nicht wirklcih was mit Sicherheit zu tun, aber gibt es eine Möglichkeit, dass ich gewisse Programme über den Server ausrolle. Also, wenn ich z.B. Firefox auf allen Rechnern installieren will, dass ich das über den Server anregen kann. Sonst müsste ich ja an den 10 PC's immer einzeln hin.

 

[Daaron]

Also, da ich ein paar sehr wichtige Daten habe, will ich manche Ordner automatisch auf zwei Festplatten sichern. Wie stelle ich das am besten an? (Ich mache Trotzdem noch hin und wieder Backups, aber wenn mir halt eine Platte abraucht will ich halt einen möglichst neuen Datenstand haben.)

Besorg dir 2 identische Platten und richte sie als RAID ein. Wenn eine stirbt enthält die andere eine perfekte Kopie.
RAIDs sind aber KEINE Backups. Sie schützen z.B. nicht vor versehentlichem Löschen. Zusätzlich solltest du dir für deine Daten eine echte Backup-Lösung (idealerweise inkrementell) einrichten. Je nach deiner Gewichtsklasse kannst du mit Tools wie Dirvish beigehen (recht kompakt) oder die schweren Geschütze wie Bacula auffahren.

Wie sieht es in sachen Virenschutz und Firewall aus? Habe jetzt ein paar mal gelesen, dass das bei Linux kein Problem ist. Könnt ihr das bestätigen?

Die Anzahl der Linux-Viren "in the wild" geht gegen 0... wird aber mittelfristig steigen. Installier einfach ClamAV und lass ab und zu mal per Cronjob durchputzen. RKHunter ist ebenfalls ein sehr nützliches Tool.
Firewall-Technisch solltest du dir definitiv was einfallen lassen. Das Minimum sind halbwegs gut eingerichtete IPTables. Die nächste Stufe (leicht und extrem sinnvoll) wäre Fail2Ban. Shorewall wäre auch einen Blick wert.
Alles eine Frage der Gefährdungslage.

Hat zwar jetzt nicht wirklcih was mit Sicherheit zu tun, aber gibt es eine Möglichkeit, dass ich gewisse Programme über den Server ausrolle. Also, wenn ich z.B. Firefox auf allen Rechnern installieren will, dass ich das über den Server anregen kann. Sonst müsste ich ja an den 10 PC's immer einzeln hin.

Sind alles Linux-Kisten? Installier auf jeder den SSH-Dienst, log dich per SSH in die Kisten ein und installier von der Shell aus. Sind jeweils kleine Einzeiler.

Für größere Sachen könntest du auch ein entsprechendes Shellscript schreiben, dass eine große Anzahl Rechner mit den Befehlen füttert.

 

[dapcfreek]

OK, danke erstmal, ist schon sehr hilfreich. Das mit den Viren/Firewall werde ich mir jetzt genauer anschauen, und dann entscheiden, was ich einsetze. Ist aber auf alle fälle schon mal sehr gut, dass ich weiß, welche Progs ich anschauen muss.
Zu RAID: Ich denke, das ist mit Kanonen auf Spatzen schießen. Ich muss vieleicht bloß 10% von der Platte doppelt halten, der Rest sind bloß unwichtige Aufnahmen oder so. Also würde ich jede Menge Plattenplatz vergolden. Dass ich nochmal ein Backup brauche, ist klar. Gibt es keine möglichkeit, per Software zu "spiegeln", und bloß gewisse ordner. Bei win gibt es ja z.B. Synctoy.

Die Clients sind zum Großteil Win7-Rechner. Bei Linux währe das ja dank schell wirklich kein Problem.

 

[misu]

Zum Backup: Ich empfehle rsync als Cronjob. Rsync ist ein kleines und simples Tool für inkrementelle Kopien (=kopiert nur Änderungen). Wenn das 2x am Tag läuft, sind die Platten wohl gleich genug.

Zur Sicherheit: Es gibt keine Linux Viren in-the-wild. Es sieht derzeit auch nicht danach aus, als würde es bald welche geben. Deshalb sehe ich auch keinen Grund, Anti-Viren Programme oder eine Firewall zu installieren. Als Packetfilter reicht sowieso der Router aus, außer du forwardest Unmengen an Dienste zu deinem Server durch.
Selbstverständlich muss man beim surfen auch unter Linux aufpassen, z.b. wenn man ein verlockendes Angebot von einem nigerianischen Prinzen bekommt o.ä.
Derzeit ist Linux bombensicher, selbst wenns lediglich am kleinen Marktanteil liegen sollte, aber mehr Sicherheit kann man derzeit kaum bekommen (FreeBSD )

 

[Mr.Wifi]

OpenBSD ist sehr empfehlenswert als Firewall/Router OS für alle extrem paranoide, vor allem durch PF und die Philosophie der Entwickler nur übersichtlichen und freien Code zuzulassen. Die sind dort zu 100% auf Sicherheit fokussiert und extrem pingelig.

Für alles andere ist openBSD imho eher nur eingeschränkt zu gebrauchen, man muss halt ein fan der Commandline sein, dort glänzt openBSD wirklich .

Hier gibts ein gutes Tut zur Einrichtung als Router/Firewall: http://www.troubleshooters.com/linux/pf/

 

[Daaron]

Dass ich nochmal ein Backup brauche, ist klar. Gibt es keine möglichkeit, per Software zu "spiegeln", und bloß gewisse ordner. Bei win gibt es ja z.B. Synctoy.

Jedes rsync - basierte Tool erfüllt deinen Zweck. Ich nutze auf Arbeit z.B. Dirvish, um gewisse Teile unserer Server regelmäßig zu spiegeln. Das Ding läuft ab und zu als Cronjob, verbindet sich mit unseren Servern und holt alle geänderten Daten.
Was auch gut ist, aber glaub ich keinen Cronjob-Support bietet: LuckyBackup. Nutz ich zuhause, um ab und zu meine mp3-Sammlung auf der lokalen Festplatte mit meiner USB-Platte zu syncen.

Die Clients sind zum Großteil Win7-Rechner. Bei Linux währe das ja dank schell wirklich kein Problem.

Auch für Windows gibt es einen rsync-Dienst.

Zur Sicherheit: Es gibt keine Linux Viren in-the-wild. Es sieht derzeit auch nicht danach aus, als würde es bald welche geben. Deshalb sehe ich auch keinen Grund, Anti-Viren Programme oder eine Firewall zu installieren. Als Packetfilter reicht sowieso der Router aus, außer du forwardest Unmengen an Dienste zu deinem Server durch.

Auch wenn Android doch recht weit vom regulären Linux Kernel entfernt ist, so ist Android doch ein Linux-System... und rappelvoll mit Viren. Linux kann durchaus ins Visier geraten, genau so wie OSX inzwischen zur Zielscheibe wird.
Spätestens wenn man Dienste für Windows-Clients zur Verfügung stellt sollte man aber trotzdem ClamAV nutzen. Der Server mag sich nicht infizieren, er kann aber trotzdem Überträger sein. Unser Mailserver hat auch schon so manche Viren-Mail herausgefiltert.

Firewalls sollte man immer nutzen, sobald der Rechner Dienste im Internet bereit stellt. Du willst gar nicht wissen, wie lang meine IPTables-Sperrliste zeitweilig ist durch automatische Filterfunktionien von Fail2Ban.

Derzeit ist Linux bombensicher, selbst wenns lediglich am kleinen Marktanteil liegen sollte, aber mehr Sicherheit kann man derzeit kaum bekommen (FreeBSD )

Alles andere als bombensicher. Der Kernel ist robust, das User Management ist auch ziemlich gut. Die restlichen Dienste haben regelmäßig Lücken, so wie jede Software.
Lies mal die Changelogs in der Paketverwaltung, da tauchen beängstigend häufig Hinweise auf gefixte schwere Lücken auf. Man sollte durchaus aufpassen, welche Dienste wie angreifbar sind und entsprechend reagieren, wenn wieder mal 50 Anfragen nacheinander aus China kommen.

 

[misu]

@Daaron:

Linux kann durchaus ins Visier geraten, genau so wie OSX inzwischen zur Zielscheibe wird.

Das ist der springende Punkt. Das "kann". Solange ich nichts von bösen Dingen höre, sehe ich keinen Grund AV-Software zum Spaß zu installieren. Zumal Signatur-basierte AV Software sowieso nicht das gelbe vom Ei ist und primär vor ziemlich alter Malware schützt.

Ich hatte bereits darauf hingewiesen, dass man in der Regel nicht den Server ans Internet stellt, sondern höchstens einzelne Ports. Ich möchte mal sehen, wie du meinen SSH hackst. Im allgemeinen wird man vor allem dadurch zum Opfer, dass veraltete Software eingesetzt wird, und das ist unter Linux dank Packetverwaltung und einfachen Auto-Updates für alle Software ein sehr viel geringeres Problem als unter Windows.

Mit Firewall meinst du wahrscheinlich Packetfilter. Ich sehe nicht ein, wie eine Firewall überhaupt irgendetwas nützen soll, wenn du z.b. nur Port 80 forwardest. Alle Traffic an Port 80 lässt die Firewall eh durch, aller andere Traffics wird schon vom Router abgelehnt.

Mein zentraler Punkt ist: Ja, Kernel und Dienste haben Lücken (da stimme ich dir absolut zu), aber sie kein großes Problem, da man nur sehr wenig Software an Internet exponiert und schnell Updates erhält.

(Außerdem sucht die Malware-Industrie heutzutage nicht mehr aktiv nach Lücken. Das Prinzip ist: Eine Lücke wird geschlossen, ein Update veröffentlicht und die Lücke puplik gemacht. Die bösen Buben hören davon und versuchen alle zu ownen, die das Update nicht eingepflegt haben.)

 

[Daaron]

Das ist der springende Punkt. Das "kann". Solange ich nichts von bösen Dingen höre, sehe ich keinen Grund AV-Software zum Spaß zu installieren. Zumal Signatur-basierte AV Software sowieso nicht das gelbe vom Ei ist und primär vor ziemlich alter Malware schützt.

Er hat Windows-Clients, da ist es definitiv nicht verkehrt, wenn der Ubuntu-Server per ClamAV alle ein- und ausgehenden Dateien überprüft. Den Server kostet das nichts, den Clients gegenüber gibt das eine weitere Sicherheitsschicht.

Ich hatte bereits darauf hingewiesen, dass man in der Regel nicht den Server ans Internet stellt, sondern höchstens einzelne Ports. Ich möchte mal sehen, wie du meinen SSH hackst. Im allgemeinen wird man vor allem dadurch zum Opfer, dass veraltete Software eingesetzt wird, und das ist unter Linux dank Packetverwaltung und einfachen Auto-Updates für alle Software ein sehr viel geringeres Problem als unter Windows.

Das ist eine arg laxe Einstellung.
1.) Debian Server, oder auch Ubuntu Server, aktualisieren sich nicht automatisch. Selbst Ubuntu Desktop aktualisiert nicht jedes Paket automatisch. Also muss man schon ab und zu manuell Updates zünden.
2.) Ubuntu 12.04 hatte die ersten paar Wochen über einige große Sicherheitslücken in den Standard-Paketen. MySQL hatte z.B. eine fette Lücke, die man z.B. über phpMyAdmin ausnutzen konnte. Auch PHP hatte einige schwere Lücken. Aber auch einige andere Dienste haben und hatten Lücken.

Und deinen SSH zu hacken? Kommt drauf an, ob du Passwort Auth nutzt oder Key Auth... und ob du einen Schutz vor Brute Force laufen hast. Ohne BF-Schutz ist es nur eine Frage der Zeit... und meist keine sehr lange.

Mein zentraler Punkt ist: Ja, Kernel und Dienste haben Lücken (da stimme ich dir absolut zu), aber sie kein großes Problem, da man nur sehr wenig Software an Internet exponiert und schnell Updates erhält.

Wenn du deinen Home-Server für externe Zugriffe nutzen willst wie ftp, http, ssh,... dann musst du auch all diese Ports weiterleiten.
Die von mir angesprochenen Lücken in PHP und MySQL kann man übrigens über Port 80 ausnutzen.

(Außerdem sucht die Malware-Industrie heutzutage nicht mehr aktiv nach Lücken. Das Prinzip ist: Eine Lücke wird geschlossen, ein Update veröffentlicht und die Lücke puplik gemacht. Die bösen Buben hören davon und versuchen alle zu ownen, die das Update nicht eingepflegt haben.)

Erklär das mal den iranischen Atomanlagen. Stuxnet enthielt eine ganze Reihe Zeroday-Expoits. Und falls dir nicht klar, ist, was ein Zeroday ist: Das ist eine Lücke, für die es noch keinen Fix gibt und die außerhalb der Exploiter-Kreise nicht einmal bekannt ist.

Außerdem: Zwischen dem Moment, wo ein Programm gefixt wurde bis zu dem, ab dem der Fix für die Distributionen per Paketverwaltung bereit ist, vergehen oftmals einige Tage. Einige Lücken, wie die PHP-Lücke, haben richtig lange gedauert.

 

[misu]

Ich versuchs mal mit einem Kompromiss. Was du sagst ist nicht falsch. Die wesentliche Frage ist hier doch, wie paranoid man ist. Du scheinst ein wesentlich größeres Sicherheitsbedürfnis zu haben wie ich.
Ich sehe es nunmal eher so, dass mögliche Angriffsszenarien eher äußerst unwahrscheinlich sind. Absolute Sicherheit gibt es natürlich nicht. Aber der Aufwand einen Linux-Homeserver/PC zu hacken steht in keinem Verhältnis zum daraus erziehlbaren nutzen. Solange werde ich mich noch ziemlich sicher fühlen.
Die größte Sicherheitslücke dürfte sowieso durch social engeneering entstehen und kluges Verhalten im Internet hängt wenig vom Betriebssystem und der Software ab.
Recht hast du auch damit, dass ein ClamAV Installation nicht wirklich etwas kostet. Ob sie allerdings nennenswerten Nutzen bringt, halte ich für fragwürdig, zumal jeder Windows-Client sowieso einen separaten Virenschutz benötigt. Aber als Bonus: ok.

Noch ein paar Detailanmerkungen:
1. Man kann die Updates komplett automatisieren, mit mäßigem Aufwand.
2. Bezüglich Stuxnet: Ja, das war ein zeroday. Aber zeroday exploits für wichtige Applikationen sind heute selten und teuer. Es kommt immer wieder vor, aber der Regelfall ist das von mir beschriebene Szenario. Das erzählt man mir zumindest in IT-Security Vorträgen.
3. Mich mit Bruteforcemethoden zu hacken dürfte zumindest einige Jahre dauern, was es wohl kaum wert ist.
4.

Zwischen dem Moment, wo ein Programm gefixt wurde bis zu dem, ab dem der Fix für die Distributionen per Paketverwaltung bereit ist, vergehen oftmals einige Tage.

Das stimmt teilweise. Häufig werden heutzutage Sicherheitslücken erst bekannt gemacht, wenn der Fix released wird, eben um das ausnutzen zu erschweren. Es gibt natürlich Fälle, in denen das ganze nicht funktioniert, gerade bei Open Source Software.

 

[westef]

2. Bezüglich Stuxnet: Ja, das war ein zeroday. Aber zeroday exploits für wichtige Applikationen sind heute selten und teuer. Es kommt immer wieder vor, aber der Regelfall ist das von mir beschriebene Szenario. Das erzählt man mir zumindest in IT-Security Vorträgen.

Das stimmt so nicht. Es treten dauernd neue 0days auf. Der Großteil davon wird nur nicht öffentlich (und damit für die meisten nicht gefährlich). Erst letztens wurden z.B. mehrere Mysql-Lücken sowie Lücken in bestimmten SSH-Servern öffentlich.

 

[misu]

Naja, wichtige Applikationen sind Applikationen, die direkt am Netz hängen. Und Zerodays für Apache, SSH, ... sind sehr selten geworden. Ein 0day für mysql z.b. ist eher nicht so schlimm, da man Datenbanken sowieso nie direkt ans Netz hängen sollte und der böse Hacker ja wenigstens schon eine (non-root) shell auf dem Rechner haben muss.

 

[Daaron]

Ich versuchs mal mit einem Kompromiss. Was du sagst ist nicht falsch. Die wesentliche Frage ist hier doch, wie paranoid man ist. Du scheinst ein wesentlich größeres Sicherheitsbedürfnis zu haben wie ich.

Ich administriere ein paar Webserver und ich sehe im Log die Angriffsversuche. Also ja, ich habe eine vollkommen andere Sichtweise als du hinsichtlich IT Sicherheit.

Ich sehe es nunmal eher so, dass mögliche Angriffsszenarien eher äußerst unwahrscheinlich sind. Absolute Sicherheit gibt es natürlich nicht. Aber der Aufwand einen Linux-Homeserver/PC zu hacken steht in keinem Verhältnis zum daraus erziehlbaren nutzen. Solange werde ich mich noch ziemlich sicher fühlen.

Wenn die Lücke einfach zu nutzen ist, dann spielt nur ein Aspekt eine Rolle: Wie bekannt ist deine IP bzw. dein DynDNS.

Recht hast du auch damit, dass ein ClamAV Installation nicht wirklich etwas kostet. Ob sie allerdings nennenswerten Nutzen bringt, halte ich für fragwürdig, zumal jeder Windows-Client sowieso einen separaten Virenschutz benötigt. Aber als Bonus: ok.

Ein Windows-Virus, der halbwegs clever ist, verbirgt sich nach erfolgter Infektion erst einmal vor Virenscannern des infizierten Windows bzw. legt sie lahm.
Ein externer Scanner, der nicht von dem Virus getroffen werden kann, sorgt für eine zusätzliche Sicherheitsschicht. Wenn man schon eine Client-Server - Architektur zuhause hat, dann sollte man sie auch bestmöglich ausnutzen. Dazu gehört meiner Meinung nach sogar n LDAP-Auth.

1. Man kann die Updates komplett automatisieren, mit mäßigem Aufwand.

Je nachdem, wie man die Ausfallzeiten legen will. Jedes Update sollte administriert werden, man weiß nie welchen Nebeneffekt es hat.

Das stimmt teilweise. Häufig werden heutzutage Sicherheitslücken erst bekannt gemacht, wenn der Fix released wird, eben um das ausnutzen zu erschweren. Es gibt natürlich Fälle, in denen das ganze nicht funktioniert, gerade bei Open Source Software.

Extremes Gegenbeispiel: Chrome/Chromium ist in den regulären Ubuntu-Repositories noch bei Version 17 oder sowas. Nennt sich das Sicherheit?

Naja, wichtige Applikationen sind Applikationen, die direkt am Netz hängen. Und Zerodays für Apache, SSH, ... sind sehr selten geworden. Ein 0day für mysql z.b. ist eher nicht so schlimm, da man Datenbanken sowieso nie direkt ans Netz hängen sollte und der böse Hacker ja wenigstens schon eine (non-root) shell auf dem Rechner haben muss.

Oh, es gibt z.B. eine nette Brute-Force - Lücke in MySQL, für die man lediglich Zugang zum Server braucht. In einer Shared Hosting - Umgebung ist das ein Kinderspiel. Root-Passwort in Stunden oder Tagen statt Monaten und Jahren knacken? Kein Problem.
In Debian 6 ist sie gefixt, in anderen Server-Distris existierte sie letzte Woche teilweise noch.

Der letzte schwere (öffentlich bekannt gemachte) Apache Zero-Day ist übrigens gerade etwas über ein Jahr her. Der Apache Killer hatte extremes Potential.

Edit: http://www.crn.com/news/security/24...erabilities-found-in-mysql-version-of-ssh.htm
Da sindse, die diesen Monat aufgetauchten Zero Day Exploits für MySQL und SSH. Soviel zum Thema selten.

 

[misu]

Und du bist wirklich der Meinung, dass man derartige Geschütze in Bezug auf einen Homeserver auffahren sollte? Vielleicht habe ich das nicht klar genug getrennt: In Bezug auf ein Unternehmensnetzwerk schließe ich mich dir absolut an. Aber daheim habe ich selbst 2 Ports an meinen Server geforwarded. Für zwei Dienste die als relativ sicher gelten. Ich mache regelmäßige Updates, bin kein irgendwie wertvolles Ziel. So ähnlich klang das für mich auch von Threadersteller beschrieben.

Außerdem hab ich schon betont, dass die meisten Dienste direkt am Netz nichts verloren haben. Das gilt grade für mysql. Das es trotzdem passiert, ist traurig. Aber zuhause, wo alles schon klein und übersichtlich ist, kann man eben sehr gut kontrollieren, welche Dienste am Netz laufen. Der ssh expoit bezieht sich zumindest nicht auf openssh, den aus dem Artikel kenne ich nicht. Bei meiner Aussage hatte ich lediglich OpenSSH im Hinterkopf. Ist der Tectia SSH Server weit verbreitet?

 

[Daaron]

Ich bezweifle ja nicht, dass ein Home Server mit seiner niedrigen Bandbreite und variablen IP weniger gefährdet ist. Man sollte aber im Zweifel immer vom Schlimmsten ausgehen. Pessimisten werden nie enttäuscht.

Und was MySQL angeht: In einem Home Server ist der Exploit kein Problem, der sollte keinen Grund haben nach außen zu lauschen. Nimm aber als Beispiel einfach mal Shared Hosting - Umgebungen von 1&1, Hetzner, Hosteurope,.... Bei denen hat jeder Kunde erst einmal einen validen DB-Zugang, den er über PHP-Scripte ansprechen kann. Evtl. hat er noch n SSH-Zugang. Die MySQL-Exploits zielen vor allem auf so eine Umgebung. Stell dir vor, einem User kommt durch Unachtsamkeit, Social Engineering oder nem Hack sein SQL-PW abhanden. Ein Schurke könnte jetzt einen Server voll mit Kundendaten angreifen und hätte im Zweifel ziemlich gute Chancen.

 

[Kyroka]

Ich bezweifle ja nicht, dass ein Home Server mit seiner niedrigen Bandbreite und variablen IP weniger gefährdet ist. Man sollte aber im Zweifel immer vom Schlimmsten ausgehen. Pessimisten werden nie enttäuscht.

Pessimisten sollten enttäuscht sein, dass sie ihre Zeit mit übertriebenen Sicherheitskonzepten verschwendet haben .

Ihr habt OP nicht einmal gefragt, welche Serverdienste er überhaupt anbieten will. So gesehen kann man sich jetzt natürlich jedes beliebige Szenario zurechtspinnen, angefangen beim Fileserver im heimischen Netzwerk bis hin zum Loginserver des iranischen Atomprogramms. Das ist ja auch in etwa die Bandbreite der Diskussion

 

[misu]

@Daaron: Kann ich nur zustimmen! Sicherheit in derartigen Umgebungen ist ein überaus komplexes Theman, und ich bin froh, nicht dafür verantwortlich zu sein

@Kyroka: Ich glaube die Frage des Threads war eigentlich mit den ersten 4 Posts beantwortet . Aber das ganze war einfach zu spannend, um nicht ein bisschen grunsätzlicher zu werden

 

[Daaron]

Pessimisten sollten enttäuscht sein, dass sie ihre Zeit mit übertriebenen Sicherheitskonzepten verschwendet haben .

Pessimisten sie die, die dann ankommen und sagen: "Gesagt hab ich's ihnen! Mistundverflucht! Jahrtausendhand und Krevetten!"

Welcome to the end
Watch your step, Cassandra
You may fall